PCI DSS.

O que o PCI DSS realmente rege

O PCI DSS é a base de segurança imposta pelas grandes bandeiras de cartões de pagamento a toda organização que armazena, processa ou transmite dados de titulares de cartões. Não é uma lei nem uma regulamentação governamental. É uma exigência contratual, aplicada por meio dos bancos adquirentes e das bandeiras de cartões que estão acima deles. Se você lida com um número de conta primário, a norma se aplica a você, seja você um varejista global ou uma pequena loja de comércio eletrônico operando uma única página de pagamento.

A norma está organizada em torno de um conjunto de objetivos de controle que abrangem as pessoas, os processos e a tecnologia que tocam os dados de titulares de cartões: construir e manter uma rede segura, proteger os dados de conta armazenados, cifrar a transmissão, gerenciar vulnerabilidades, restringir o acesso com base no princípio da necessidade de conhecer, monitorar e registrar, e manter uma política escrita de segurança da informação. Cada objetivo se decompõe em requisitos concretos e verificáveis, razão pela qual o PCI DSS se lê mais como uma lista de verificação de auditoria do que como um quadro baseado em princípios como a ISO 27001.

O escopo é tudo

A decisão mais importante para o profissional não é como passar na avaliação, mas como reduzir o que é avaliado. Tudo o que armazena, processa ou transmite dados de titulares de cartões, além de qualquer coisa conectada a isso, recai dentro do ambiente de dados de titulares de cartões (CDE). Quanto maior o CDE, mais sistemas precisam atender a cada requisito e mais penosa e dispendiosa a avaliação se torna.

É aqui que a tokenização, a segmentação de rede e a terceirização para provedores de pagamento conformes provam o seu valor. Ao substituir os números de cartão por tokens, isolar o CDE atrás de firewalls e transferir a captura efetiva do cartão para uma página hospedada ou um processador terceiro, você remove sistemas inteiramente do escopo. Um ambiente bem segmentado pode reduzir um parque desgovernado a um punhado de componentes que precisam de validação completa.

Como a validação funciona na prática

A forma como você demonstra a conformidade depende do volume de transações e de como você aceita pagamentos. Os comerciantes menores geralmente preenchem um Questionário de Autoavaliação (SAQ), escolhendo a versão que corresponde ao seu canal de aceitação. Os comerciantes e provedores de serviços maiores passam por uma avaliação formal feita por um Qualified Security Assessor (QSA), que produz um Report on Compliance. A varredura de rede por um Approved Scanning Vendor e a apresentação de evidências trimestrais são obrigações comuns a todos os níveis.

A revisão atual, a versão 4.0.1, vai além de uma mera lista de verificação. Ao lado da «abordagem definida» prescritiva, ela introduz uma «abordagem personalizada» que permite às organizações maduras atender a um objetivo de controle por meio dos seus próprios controles concebidos, desde que possam documentar e evidenciar que o objetivo é cumprido. Ela também reformula a conformidade como um estado contínuo, em vez de um instantâneo anual, com vários requisitos exigindo explicitamente um monitoramento integrado às operações cotidianas.

Como ele se posiciona ao lado de outras normas

As equipes costumam confundir o PCI DSS com a ISO 27001. Elas se sobrepõem, mas respondem a perguntas diferentes. A ISO 27001 certifica que você opera um sistema de gestão de segurança da informação; o PCI DSS valida que um conjunto de controles específico e prescrito protege os dados de titulares de cartões. Um é uma certificação de sistema de gestão cujo escopo você mesmo define; o outro é um conjunto de controles fixo imposto por um organismo setorial externo. Operar um SGSI ISO 27001 lhe dá uma estrutura de governança que facilita a produção das evidências PCI, mas não substitui os requisitos específicos dos dados de cartões.